论文部分内容阅读
摘 要：本文以德国商业银行伦敦分行因反洗钱违规受亿元罚单为例，分析其在反洗钱系统建设、制度与流程、管理机制、人员配置等所存在的违规缺陷，从信息不对称视角，分析其反洗钱违规的道德风险成因，并提炼该案例折射的经验教训，为加强我国反洗钱内控机制建设提供决策参考。
关键词：反洗钱;客户身份识别;道德风险;内部控制
DOI：10.3969/j.issn.1003-9031.2020.11.006
中圖分类号：F831.2 文献标识码：A 文章编号：1003-9031（2020）11-0050-07
一、引言
2020年1月3日，银保监会发布《关于进一步做好银行业保险业反洗钱和反恐怖融资工作的通知》（以下简称《通知》），提出应当将反洗钱和反恐怖融资工作纳入机构日常监管工作范围，督促银行保险机构建立健全反洗钱和反恐怖内控制度。2020年6月17日，英国金融行为监管局（FCA）因德国商业银行伦敦分行（以下简称“德商银行伦敦分行”）存在反洗钱内控机制缺陷，处罚3780万英镑，折合人民币约3. 35亿元，该罚单针对商业银行的反洗钱内控缺陷，颇有典型性。
在内控方面，英国法律法规要求主要是原则导向为基础，对内控要求较为宽泛。实践当中，主要根据英国1999年伦敦股票交易所发布的Turnbull 报告，即《内部控制——董事关于联合规则的指南》操作。该Turnbull指南将英国内部控制系统要素分为控制环境、控制活动、信息与沟通、监督内部控制有效性，强调风险管理时每个人的责任，形成了英国更强调风险的内部控制框架。我国在2008年《企业内部控制基本规范》当中将内部环境、风险评估、控制活动、信息与沟通、内部监督列举为内控五要素，与英国在企业内控制度上并无本质区别，只是侧重点不同，但FCA的反洗钱内控机制要求巨额罚单却可供我国参考。
二、德商银行伦敦分行巨额处罚案概况
德商银行伦敦分行是德国商业银行（以下简称“德商银行”）的全球运营平台，自1973年设立，扮演着德商银行全球营销中心的角色，为德商银行其他机构提供建立新业务关系的客户身份识别（KYC）审查服务，并承担尽职调查职能。
德商银行伦敦分行在集团的框架内实行条线管理和属地管理的双线管理机制，并在风险管理方面采用三道防线模型机制。客户管理团队负责业务拓展，并对新客户和现有客户进行客户身份识别，作为反洗钱管理第一道防线。德商银行伦敦分行合规部是反洗钱管理的第二道防线，德商银行总行合规部对德商银行伦敦分行金融犯罪控制方面具有管理权。根据英国FCA的罚单，德商银行伦敦分行在2012年10月23日—2017年9月29日期间存在反洗钱内部控制缺陷，没能够采取合理和有效措施解决FCA在2012年、2015年和2017年监管检查时关注的问题，违反了英国政府《2007年反洗钱法规》要求。
（一）在制度与流程落实方面，德商银行伦敦分行反洗钱客户身份识别措施存在严重缺陷
1.建立业务关系时的客户身份识别措施存在缺陷
（1）集团内部客户认证程序出现问题
德商银行总行企业银行部负责德国商业银行的金融机构客户管理，由其对金融机构进行尽职调查然后通过集团内部认证程序介绍给德商银行伦敦分行。在2014年9月之后，为了降低风险，德商银行伦敦分行客户关系部决定对于中高风险客户，还需要根据英国本地的反洗钱规定采取尽职调查措施。
德商银行伦敦分行的客户身份尽职调查措施需要对最终受益所有人，客户和董事的信息进行筛查，并需要采取增强型尽职调查措施。这需要德商银行总行企业银行部进行协助，但在涉及到客户信息时，德商银行总行企业部在几个月的时间内需要两次与他们的客户联系以获取相同信息以保障信息是最新的，而德商银行总行企业银行部明显没有执行该程序。
2016年6月，德商银行伦敦分行与158个没有完成集团内部认证程序的客户建立了客户关系，其中，18名属于洗钱高风险等级客户，81名属于德商银行内部系统中被评为无法开展交易的客户，经对资料更新又有36个被认定为无法开展交易的客户，构成违规。
（2）客户身份识别制度运行存在缺陷
一是政治公众人物的反洗钱管理存在问题。2017年FCA委托专业监督员检查，对德商银行伦敦分行61份文档抽查，有10份显示没有开展政治公众人物和制裁流程筛查，没有识别客户受益所有人和关联方。即使将客户识别为政治公众人物，也没有考虑到洗钱风险，交易系统当中也缺乏相应警示信息。德商银行伦敦分行没有履职留痕程序，无法证明对客户及政治公众人物开展了筛查。
二是受益所有人管理存在缺陷。2017年FCA委托专业监督员检查，发现46%的档案当中没有进行受益所有人识别;在德商银行伦敦分行的客户复审档案当中，70%没有对客户的关联方验证受益所有人。对获取的受益所有人及关联方信息，未记录在德商银行伦敦分行内部系统当中。
三是解除客户关系上缺乏书面制度。德商银行伦敦分行缺乏与现存客户因金融犯罪风险解除客户关系的明确书面标准，对休眠账户缺乏管理。从2015年1月进行整改开始，发现有超过1500个客户账户需要被关闭。
2.客户身份复评逾期积压，导致严重违规
在反洗钱监管方面，对客户身份，各国一般在业务关系存续期间需要进行持续识别和重新识别，又称为客户身份复评。德商银行伦敦分行要求对高风险客户每年开展客户身份复评，低风险客户三年开展一次客户身份复评。此外，德商银行伦敦分行还要求根据客户已知信息开展复评，以保障如实掌握客户金融犯罪风险情况。如某金融机构客户，暴露出贪腐洗钱案件，则应对其开展客户身份复评。 客户身份复评涉及到德商银行伦敦分行的三个部门。客户关系部被要求对现存客户进行复评，复评要求与新客户建立客户关系要求相一致。前台部门从客户处获取尽职调查信息负责核对，合规部根据客户关系部提供建议对高风险客户档案进行审查复审。
（1）问题产生：合规资源投入整改，导致客户身份复评积压产生新违规
德商银行伦敦分行在開展客户身份复评时在客户信息系统（AOP系统）设置了复评逾期的“红色”或正常的“绿色”状态的自动监测功能，并设定客户资料处于“红色”状态下将无法再开展交易。2012年10月，因有大量客户的客户身份识别过期，为减少该系统自动流程产生的影响，德商银行伦敦分行合规部决定禁用自动功能，以手工方式进行静态审查，对低风险客户则每三年进行一次抽样审查。
2012年FCA对德商银行伦敦分行进行监管检查，指出了反洗钱相关问题，德商银行伦敦分行合规部在2013年启动整改，对大约8000个法人实体的资料进行更新，以满足监管要求，但因为将合规人员都投入到整改当中，导致客户复评出现积压，当年积压需要复评的法人实体大约1900个，其中193个是高风险状态，1371个处于低风险状态。
（2）问题发酵：客户身份复评逾期进行交易，制度落空
2013年客户身份复评逾期出现问题之后，德商银行伦敦分行的客户身份复评问题逐步严峻，且一直没有获得解决。2016年10月，1720个潜在客户等待该行反洗钱团队审批然后建立客户关系;2017年2月，现存的2226个客户等待该行开展客户身份逾期复评。因客户身份复评积压问题严重，德商银行伦敦分行合规部决定是否允许进行交易的审批程序落空。检查抽样发现，2016年3月德商银行伦敦分行客户身份复评积压了630家现有客户中有296家是德商银行伦敦分行自有客户。其中，118个客户在客户身份复评过期的情况下与德商银行伦敦分行进行了2835次交易，这些交易产生的净收入超过了350万英镑;11名客户被确定为在客户身份复评期间出现了洗钱或其他可疑特征的交易的警示标志，11个客户进行了114笔交易，德商银行伦敦分行获得了约1百万英镑净收入。
（3）问题失控：引入例外列表，彻底绕过控制
内审部门进行审计的时候，对德商银行伦敦分行合规部直接禁用AOP系统功能的做法进行质疑，德商银行伦敦分行合规部在2016年2月重新启用该功能。根据三年一轮的规定，客户关系部发现又需要对2013年整改补充的客户文件定期复审，预计工作量又将大大增加了。客户关系部为此在系统当中开发了一种新功能，建立“过期例外列表”客户名录，以保障客户资料过期，需要复评时能够继续与德商银行伦敦分行进行交易。2016年5月至2017年2月9日，合计有3623个客户被添加到过期例外列表当中，在2017年2月9日，该列表还有2226个客户。
经调查发现，德商银行伦敦分行客户关系部对添加进入列表缺乏书面的政策规定，如何核准没有固定程序，决定是如何做出的没有进行记录，如何监测这些客户被授权延长期限也不清楚，使用过期例外列表的范围无明确界定，且与德商总行合规部的客户身份识别要求不一致，特别是集团内介绍客户的认定事项上存在差异。尽管德商银行伦敦分行合规部明知这些客户的尽职调查资料已经过期，也没有对客户关系部使用的延长程序进行合规审查。从2016年底开始，该列表的使用处于无序失控状态。
在列表中2226个客户，有236个高风险客户的客户身份识别复评资料已经过期超过1年，仍与伦敦分行进行交易。其中，一个高风险客户，在KYC资料复评超过5年情况下，与银行开展了10笔12.2万英镑交易;另外一个高风险客户，也是客户资料逾期超5年与德商银行伦敦分行进行了16笔合计27.4万英镑的交易;4个因为反洗钱或者合规风险的缘故与德商银行伦敦分行解除了客户关系。
（二）在系统建设方面，在反洗钱交易监测功能存在缺陷，不满足反洗钱风险管理需要
1.反洗钱交易监测系统不符合反洗钱风险管理需要
2013年12月，德商银行伦敦分行合规部职员提出了一般监测系统无法满足工作需要的问题，如该系统采集信息不准确、无法访问交易系统当中部分数据、产生了大量无效交易警报，对高风险客户监测缺乏自动和持续的信息更新功能，严重影响反洗钱交易监测效率和监测效果。2014年5月，合规部再次提出一般监测系统应当增加客户资金来源、客户业务性质、账户目的三方面信息，但这需要德国总部信息科技IT部门的支持以及较大的资源投入，该系统的缺陷在2015—2016年间持续存在，严重影响了交易监测效果。
2.交易监测系统在名单监控上存在缺陷，造成警报不足，不支持反洗钱交易监测
在2015年12月，德国商业银行内部审计部门开展反洗钱审计发现，在名单监控上存在严重问题：首先是反洗钱一般交易监测系统当中缺失了40个高风险国家，在国家清单更新的时候未及时更正;其次是高风险客户名单没有更新，导致德国商业银行的1100个高风险客户没有被添加进系统名单当中;再次是德商银行伦敦分行合规部没有能够做到持续记录其已经按照制裁名单对相关交易进行筛查，缺乏履职留痕程序，是否已经按照名单筛查无法验证;最后是德商银行伦敦分行合规部对系统适用的交易监测规则或者阈值没有进行定期审查，导致无法根据最新的监管要求进行交易监测。2018年3月德商银行伦敦分行开展自查，由于未更新2011—2015年的高风险客户和国家/地区列表，交易回溯时发现原本999笔来自高风险客户或高风险辖区的交易应当形成警报，却没有形成警报。
（三）反洗钱风险管理架构存在缺陷，部门职责不清晰，人员配置不足
1.高管履职不足
2015—2016年，德商银行伦敦分行高管对控制金融犯罪风险方面的个人责任方面缺乏明晰，对客户身份复评积压和过期列表例外的具体情况是不了解的，对如何与名单上的客户进行交易缺乏监督，对名单使用失控有管理责任。 2.部门职责不清晰
德商银行伦敦分行经2015年内部审计发现，客户复评逾期问题主要是德商银行伦敦分行前台部门与客户关系部之间协调出现问题以及德商银行伦敦分行承担对全球客户开展尽职调查职能，但不同管辖权下对尽职调查的要求存在不同理解。同时，德商银行伦敦分行金融犯罪风险管理委员会没有明确负责人，职责也不明确，导致前台业务部门、客户关系管理部门及合规部门之间如何建立一二道防线的反洗钱协作机制并不明确，运行存在缺陷。
3.合规资源投入严重不足
从2013年开始，德商银行伦敦分行出现客户身份复评积压问题，虽请了外包公司人员来参与客户身份复评，但德商银行伦敦分行合规部和客户关系部都没有足够的人手来处理手头任务。在2016年中期，该行的反洗钱管理团队仅有3个全职人员。在业务规模并无大幅增长的前提下，为获得整改评估当中验收通过，在2018年中期，将反洗钱管理人员配置到42人。在自愿实施了业务限制，包括暂时停止接受新的高风险客户并暂停所有新的贸易融资业务活动的前提下，为了推进交易回溯，2019年5月，合规人员才增加到52人。
三、信息不对称视角下的德商银行伦敦分行反洗钱内控机制失效分析
（一）德商银行伦敦分行反洗钱内控机制失效
根据英国的Turnbull指南来看，德商银行伦敦分行在控制环境方面，存在公司架构职责不清，合规资源投入不足問题;在控制活动方面，客户身份识别措施存在缺陷，交易监测系统无法满足反洗钱风险管理要求问题;在信息与沟通方面，德商银行伦敦分行的客户关系部、前台业务部门与合规部沟通协调不畅，协作不足;在监督方面，高管对反洗钱工作监督不足，对过期例外列表不清楚。德商银行伦敦分行的违规体现了严重系统性内部控制缺陷。
（二）违规原因：被业务绑架，形成道德风险
反洗钱控制措施作为一种合规成本，在监管机构难以观测到商业银行的行动时，则商业银行容易出现不遵守反洗钱措施的道德风险。
1.违规原因
德商银行伦敦分行合规部作为德商银行伦敦分行的第二道防线部门，原本没有业务发展压力，应发挥对第一道业务部门的业务合规把关作用。在资源配置上，原本也是充足的。但2012年正好碰上客户身份复评并加上2013年的集团的合规整改，打破了这种平衡。按照“舞弊三要素”理论，舞弊事件发生概率大大增加。
在压力方面，由于客户身份复评为原有客户资料的复审，一般来说已经与德商银行存在过相关交易，监管机构虽有要求，但如果因为资料到期就直接不允许交易，要等德商银行伦敦分行合规部复审之后再可以交易，在市场机会稍纵即逝的形势下，很容易导致交易机会消失，甚至丢掉市场份额，德商银行伦敦分行合规部在客户资料复评方面实质上面临被业务发展绑架的压力。
在借口方面，如果原有业务关系的客户在其资料逾期时，都被发现有金融犯罪风险，则德商银行伦敦分行还可以向业务部门解释，但现实当中，很大概率是大部分资料逾期，曾经存在交易关系的客户都不会有金融犯罪风险。如果不增加合规部人手的情况下，又缺乏相关人员监督，德商合规部就会利用该难以观测到的机会进行违规。事实上，德商银行伦敦分行禁用系统功能，目的就是绕过控制，为自身获取难以观测到的违规机会。至于后续的客户关系部存在“滥用过期例外列表”，也与德商银行伦敦分行合规部利益一致，出现联合舞弊不足为奇。
反洗钱交易监测系统由合规部自身使用，其他部门难以观察到相关的系统信息，在合规资源投入不足情形下，德商银行伦敦分行合规部正好以为利用该机会减轻自身的工作量，因此在添加相应监控名单、对交易监测规则或者阈值没有进行定期审查就不难理解了。
2.舞弊分析
客户关系部，设立“过期例外列表”，出现舞弊事件具有必然性。在压力方面，客户关系部存在促进业务交易，维护客户关系全周期管理的职责，业务发展是客户关系部的压力事项，天生就具备维护现有客户关系的要求。在借口方面，2016年需要对2013年整改补充的客户文件定期复审，客户身份复评的工作量大大增加，但客户关系部人员工资及数量没有变动，履职存在困难。在机会方面，德商银行伦敦分行合规部明知这些客户的尽职调查资料已经过期，也没有对客户关系部使用的延长程序进行合规审查，存在可以随便延续客户身份识别资料逾期的客户，获取继续交易资格的机会。三要素齐备，客户关系部必然以期例外列表为由，绕过内部控制。
3.部门协调不畅分析
德商银行伦敦分行客户关系部、前台部门与合规部三个部门在利益上存在冲突，这种利益冲突容易导致管理上的推诿。前台部门作为盈利部门，客户关系部作为德商银行伦敦分行公司市场部下属机构，都具有促进交易要求，在客户资料复评方面存在维护现有客户关系的倾向。为了降低工作量，有减少信息的获取的自利倾向，如上文提到的德商总行企业银行部不执行第二次核实资料要求或者对现有资料持有肯定态度等。
合规部作为第二道防线部门，肯定要进行合规把关。在德商银行伦敦分行高管反洗钱职责是不清晰的情形下，各方都是内部机构，由于信息不对称，本部门的过错难以观测，推诿也符合本部门的利益最大化倾向，于是进一步恶化客户身份资料复评的积压，最终损害整个德商银行伦敦分行。
四、反洗钱内控机制建设启示
中国与英国的金融环境不同，但德商银行伦敦分行处罚案体现的信息不对称情形下反洗钱内部控制失效的合规教训值得警惕。本案反映出的内部控制问题也可以借鉴到我国反洗钱内部控制建设上。
（一）强化高管的反洗钱管理责任，建立健全反洗钱工作协调机制
我国《反洗钱法》的第15条要求金融机构负责人对内部控制有效实施负责，人民银行2019年开始实施的《法人金融机构洗钱风险管理指引》（以下简称《指引》）则进一步要求金融机构应当明确牵头负责洗钱风险管理的高管，进一步细化高管责任。我国金融机构一般会明确负责牵头反洗钱高管，但如何建立反洗钱协调机制，保障负责反洗钱高管能够独立开展工作，避免影响有效履职的利益冲突应是需要关注的重点。从德商违规处罚案来看，我国商业银行应吸取德商银行伦敦分行教训，健全相应的反洗钱委员会，在公司治理层面优化委员会机制，以保障负责反洗钱高管能够独立开展工作。 （二）强化反洗钱合规资源的投入力度，做到与业务相匹配
人民银行《指引》强调反洗钱资源配置应当与业务发展相匹配，配备充足洗钱风险管理人员，但如何评估充足，是理论与实践一大难题。从德商银行伦敦分行的教训来看，德商银行伦敦分行合规部刚开始是3人，2012年工作量并不多，但突然的项目任务如2013年的整改要求，导致大量的客户身份识别复评积压。因此，从评估洗钱风险管理人员是否充足的角度，必须要建立主动、前瞻的反洗钱合规资源配置计划，做到动态重检优化，确保反洗钱合规能力与业务发展匹配。
（三）加强反洗钱制度建设，强化政策与程序执行监督
我国商业银行普遍重视制度建设，但在具体的执行上很容易出现绕过相关控制的现象。从德商银行伦敦分行违规案来看，德商银行伦敦分行分行合规部及客户关系部在反洗钱客户复评上违规能够获取成功，关键是利用了客户身份复评逾期的信息不对称，采用禁用系统功能或例外事项列表来掩盖客户身份复评逾期事实，获得了舞弊机会。德商银行内审部对德商银行合规部的监督，导致禁用系统功能被停止。因此，对商业银行必须强调开展定期或不定期反洗钱工作检查，完善内部审计评价程序，推动反洗钱政策与程序的有效落实。
（四）建立反洗钱交易监测系统定期审查机制，做好更新及优化
按照人民银行的《指引》，反洗钱信息系统应当能够对洗钱风险进行识别、评估、监测和报告，并根据洗钱风险管理需要进行优化升级。但如何监督反洗钱系统的功能是否满足反洗钱风险管理需要，并做到及时优化升级，是管理的难题。从信息不对称角度来说，反洗钱部门作为系统使用者，应该是最清楚系统的功能状况的，但反洗钱部门如类似德商银行伦敦分行合规部，不对反洗钱交易监测系统进行属地参数设置，则违规行为难以发现。英国FCA根据德商银行伦敦分行没有对反洗钱系统适用的交易监测规则或阈值进行定期审查，导致无法根据最新的监管要求进行交易监测，被认定违规。因此，我国在监管实践中，必须要求商业银行建立对反洗钱系统交易监测规则或者阈值进行定期审查的机制，做到及时优化升级。
（责任编辑：张恩娟）
参考文献：
[1]英国金融监管局FCA.Finial Notice to Commerzbank AG[EB/OL].[2020-06-17].https：//www.fca.org.uk/publication/final-notices/commerzbank-ag-2020.pdf.
[2]英国金融监管局FCA.FC link PDF Financial Crime： a guide for firms[EB/OL].[2018-12-12].https：//www.handbook.fca.org.uk/handbook/FC/link/PDF.html.
[3]英国反洗钱指导小组.The Joint Money Laundering Steering Group：Prevention of money laundering/ combating terrorist financing（2020revised version）[EB/OL].[2020-08-18].https：//jmlsg.org.uk/guidance/current-guidance/.
[4]惠平，周瑋，童频.商业银行合规管理[M].北京：中国金融出版社，2018.
收稿日期：2020-10-28
作者简介：苏如飞（1984-），男，广西合浦人，现供职于中国工商银行股份有限公司。
关键词：反洗钱;客户身份识别;道德风险;内部控制
DOI：10.3969/j.issn.1003-9031.2020.11.006
中圖分类号：F831.2 文献标识码：A 文章编号：1003-9031（2020）11-0050-07
一、引言
2020年1月3日，银保监会发布《关于进一步做好银行业保险业反洗钱和反恐怖融资工作的通知》（以下简称《通知》），提出应当将反洗钱和反恐怖融资工作纳入机构日常监管工作范围，督促银行保险机构建立健全反洗钱和反恐怖内控制度。2020年6月17日，英国金融行为监管局（FCA）因德国商业银行伦敦分行（以下简称“德商银行伦敦分行”）存在反洗钱内控机制缺陷，处罚3780万英镑，折合人民币约3. 35亿元，该罚单针对商业银行的反洗钱内控缺陷，颇有典型性。
在内控方面，英国法律法规要求主要是原则导向为基础，对内控要求较为宽泛。实践当中，主要根据英国1999年伦敦股票交易所发布的Turnbull 报告，即《内部控制——董事关于联合规则的指南》操作。该Turnbull指南将英国内部控制系统要素分为控制环境、控制活动、信息与沟通、监督内部控制有效性，强调风险管理时每个人的责任，形成了英国更强调风险的内部控制框架。我国在2008年《企业内部控制基本规范》当中将内部环境、风险评估、控制活动、信息与沟通、内部监督列举为内控五要素，与英国在企业内控制度上并无本质区别，只是侧重点不同，但FCA的反洗钱内控机制要求巨额罚单却可供我国参考。
二、德商银行伦敦分行巨额处罚案概况
德商银行伦敦分行是德国商业银行（以下简称“德商银行”）的全球运营平台，自1973年设立，扮演着德商银行全球营销中心的角色，为德商银行其他机构提供建立新业务关系的客户身份识别（KYC）审查服务，并承担尽职调查职能。
德商银行伦敦分行在集团的框架内实行条线管理和属地管理的双线管理机制，并在风险管理方面采用三道防线模型机制。客户管理团队负责业务拓展，并对新客户和现有客户进行客户身份识别，作为反洗钱管理第一道防线。德商银行伦敦分行合规部是反洗钱管理的第二道防线，德商银行总行合规部对德商银行伦敦分行金融犯罪控制方面具有管理权。根据英国FCA的罚单，德商银行伦敦分行在2012年10月23日—2017年9月29日期间存在反洗钱内部控制缺陷，没能够采取合理和有效措施解决FCA在2012年、2015年和2017年监管检查时关注的问题，违反了英国政府《2007年反洗钱法规》要求。
（一）在制度与流程落实方面，德商银行伦敦分行反洗钱客户身份识别措施存在严重缺陷
1.建立业务关系时的客户身份识别措施存在缺陷
（1）集团内部客户认证程序出现问题
德商银行总行企业银行部负责德国商业银行的金融机构客户管理，由其对金融机构进行尽职调查然后通过集团内部认证程序介绍给德商银行伦敦分行。在2014年9月之后，为了降低风险，德商银行伦敦分行客户关系部决定对于中高风险客户，还需要根据英国本地的反洗钱规定采取尽职调查措施。
德商银行伦敦分行的客户身份尽职调查措施需要对最终受益所有人，客户和董事的信息进行筛查，并需要采取增强型尽职调查措施。这需要德商银行总行企业银行部进行协助，但在涉及到客户信息时，德商银行总行企业部在几个月的时间内需要两次与他们的客户联系以获取相同信息以保障信息是最新的，而德商银行总行企业银行部明显没有执行该程序。
2016年6月，德商银行伦敦分行与158个没有完成集团内部认证程序的客户建立了客户关系，其中，18名属于洗钱高风险等级客户，81名属于德商银行内部系统中被评为无法开展交易的客户，经对资料更新又有36个被认定为无法开展交易的客户，构成违规。
（2）客户身份识别制度运行存在缺陷
一是政治公众人物的反洗钱管理存在问题。2017年FCA委托专业监督员检查，对德商银行伦敦分行61份文档抽查，有10份显示没有开展政治公众人物和制裁流程筛查，没有识别客户受益所有人和关联方。即使将客户识别为政治公众人物，也没有考虑到洗钱风险，交易系统当中也缺乏相应警示信息。德商银行伦敦分行没有履职留痕程序，无法证明对客户及政治公众人物开展了筛查。
二是受益所有人管理存在缺陷。2017年FCA委托专业监督员检查，发现46%的档案当中没有进行受益所有人识别;在德商银行伦敦分行的客户复审档案当中，70%没有对客户的关联方验证受益所有人。对获取的受益所有人及关联方信息，未记录在德商银行伦敦分行内部系统当中。
三是解除客户关系上缺乏书面制度。德商银行伦敦分行缺乏与现存客户因金融犯罪风险解除客户关系的明确书面标准，对休眠账户缺乏管理。从2015年1月进行整改开始，发现有超过1500个客户账户需要被关闭。
2.客户身份复评逾期积压，导致严重违规
在反洗钱监管方面，对客户身份，各国一般在业务关系存续期间需要进行持续识别和重新识别，又称为客户身份复评。德商银行伦敦分行要求对高风险客户每年开展客户身份复评，低风险客户三年开展一次客户身份复评。此外，德商银行伦敦分行还要求根据客户已知信息开展复评，以保障如实掌握客户金融犯罪风险情况。如某金融机构客户，暴露出贪腐洗钱案件，则应对其开展客户身份复评。 客户身份复评涉及到德商银行伦敦分行的三个部门。客户关系部被要求对现存客户进行复评，复评要求与新客户建立客户关系要求相一致。前台部门从客户处获取尽职调查信息负责核对，合规部根据客户关系部提供建议对高风险客户档案进行审查复审。
（1）问题产生：合规资源投入整改，导致客户身份复评积压产生新违规
德商银行伦敦分行在開展客户身份复评时在客户信息系统（AOP系统）设置了复评逾期的“红色”或正常的“绿色”状态的自动监测功能，并设定客户资料处于“红色”状态下将无法再开展交易。2012年10月，因有大量客户的客户身份识别过期，为减少该系统自动流程产生的影响，德商银行伦敦分行合规部决定禁用自动功能，以手工方式进行静态审查，对低风险客户则每三年进行一次抽样审查。
2012年FCA对德商银行伦敦分行进行监管检查，指出了反洗钱相关问题，德商银行伦敦分行合规部在2013年启动整改，对大约8000个法人实体的资料进行更新，以满足监管要求，但因为将合规人员都投入到整改当中，导致客户复评出现积压，当年积压需要复评的法人实体大约1900个，其中193个是高风险状态，1371个处于低风险状态。
（2）问题发酵：客户身份复评逾期进行交易，制度落空
2013年客户身份复评逾期出现问题之后，德商银行伦敦分行的客户身份复评问题逐步严峻，且一直没有获得解决。2016年10月，1720个潜在客户等待该行反洗钱团队审批然后建立客户关系;2017年2月，现存的2226个客户等待该行开展客户身份逾期复评。因客户身份复评积压问题严重，德商银行伦敦分行合规部决定是否允许进行交易的审批程序落空。检查抽样发现，2016年3月德商银行伦敦分行客户身份复评积压了630家现有客户中有296家是德商银行伦敦分行自有客户。其中，118个客户在客户身份复评过期的情况下与德商银行伦敦分行进行了2835次交易，这些交易产生的净收入超过了350万英镑;11名客户被确定为在客户身份复评期间出现了洗钱或其他可疑特征的交易的警示标志，11个客户进行了114笔交易，德商银行伦敦分行获得了约1百万英镑净收入。
（3）问题失控：引入例外列表，彻底绕过控制
内审部门进行审计的时候，对德商银行伦敦分行合规部直接禁用AOP系统功能的做法进行质疑，德商银行伦敦分行合规部在2016年2月重新启用该功能。根据三年一轮的规定，客户关系部发现又需要对2013年整改补充的客户文件定期复审，预计工作量又将大大增加了。客户关系部为此在系统当中开发了一种新功能，建立“过期例外列表”客户名录，以保障客户资料过期，需要复评时能够继续与德商银行伦敦分行进行交易。2016年5月至2017年2月9日，合计有3623个客户被添加到过期例外列表当中，在2017年2月9日，该列表还有2226个客户。
经调查发现，德商银行伦敦分行客户关系部对添加进入列表缺乏书面的政策规定，如何核准没有固定程序，决定是如何做出的没有进行记录，如何监测这些客户被授权延长期限也不清楚，使用过期例外列表的范围无明确界定，且与德商总行合规部的客户身份识别要求不一致，特别是集团内介绍客户的认定事项上存在差异。尽管德商银行伦敦分行合规部明知这些客户的尽职调查资料已经过期，也没有对客户关系部使用的延长程序进行合规审查。从2016年底开始，该列表的使用处于无序失控状态。
在列表中2226个客户，有236个高风险客户的客户身份识别复评资料已经过期超过1年，仍与伦敦分行进行交易。其中，一个高风险客户，在KYC资料复评超过5年情况下，与银行开展了10笔12.2万英镑交易;另外一个高风险客户，也是客户资料逾期超5年与德商银行伦敦分行进行了16笔合计27.4万英镑的交易;4个因为反洗钱或者合规风险的缘故与德商银行伦敦分行解除了客户关系。
（二）在系统建设方面，在反洗钱交易监测功能存在缺陷，不满足反洗钱风险管理需要
1.反洗钱交易监测系统不符合反洗钱风险管理需要
2013年12月，德商银行伦敦分行合规部职员提出了一般监测系统无法满足工作需要的问题，如该系统采集信息不准确、无法访问交易系统当中部分数据、产生了大量无效交易警报，对高风险客户监测缺乏自动和持续的信息更新功能，严重影响反洗钱交易监测效率和监测效果。2014年5月，合规部再次提出一般监测系统应当增加客户资金来源、客户业务性质、账户目的三方面信息，但这需要德国总部信息科技IT部门的支持以及较大的资源投入，该系统的缺陷在2015—2016年间持续存在，严重影响了交易监测效果。
2.交易监测系统在名单监控上存在缺陷，造成警报不足，不支持反洗钱交易监测
在2015年12月，德国商业银行内部审计部门开展反洗钱审计发现，在名单监控上存在严重问题：首先是反洗钱一般交易监测系统当中缺失了40个高风险国家，在国家清单更新的时候未及时更正;其次是高风险客户名单没有更新，导致德国商业银行的1100个高风险客户没有被添加进系统名单当中;再次是德商银行伦敦分行合规部没有能够做到持续记录其已经按照制裁名单对相关交易进行筛查，缺乏履职留痕程序，是否已经按照名单筛查无法验证;最后是德商银行伦敦分行合规部对系统适用的交易监测规则或者阈值没有进行定期审查，导致无法根据最新的监管要求进行交易监测。2018年3月德商银行伦敦分行开展自查，由于未更新2011—2015年的高风险客户和国家/地区列表，交易回溯时发现原本999笔来自高风险客户或高风险辖区的交易应当形成警报，却没有形成警报。
（三）反洗钱风险管理架构存在缺陷，部门职责不清晰，人员配置不足
1.高管履职不足
2015—2016年，德商银行伦敦分行高管对控制金融犯罪风险方面的个人责任方面缺乏明晰，对客户身份复评积压和过期列表例外的具体情况是不了解的，对如何与名单上的客户进行交易缺乏监督，对名单使用失控有管理责任。 2.部门职责不清晰
德商银行伦敦分行经2015年内部审计发现，客户复评逾期问题主要是德商银行伦敦分行前台部门与客户关系部之间协调出现问题以及德商银行伦敦分行承担对全球客户开展尽职调查职能，但不同管辖权下对尽职调查的要求存在不同理解。同时，德商银行伦敦分行金融犯罪风险管理委员会没有明确负责人，职责也不明确，导致前台业务部门、客户关系管理部门及合规部门之间如何建立一二道防线的反洗钱协作机制并不明确，运行存在缺陷。
3.合规资源投入严重不足
从2013年开始，德商银行伦敦分行出现客户身份复评积压问题，虽请了外包公司人员来参与客户身份复评，但德商银行伦敦分行合规部和客户关系部都没有足够的人手来处理手头任务。在2016年中期，该行的反洗钱管理团队仅有3个全职人员。在业务规模并无大幅增长的前提下，为获得整改评估当中验收通过，在2018年中期，将反洗钱管理人员配置到42人。在自愿实施了业务限制，包括暂时停止接受新的高风险客户并暂停所有新的贸易融资业务活动的前提下，为了推进交易回溯，2019年5月，合规人员才增加到52人。
三、信息不对称视角下的德商银行伦敦分行反洗钱内控机制失效分析
（一）德商银行伦敦分行反洗钱内控机制失效
根据英国的Turnbull指南来看，德商银行伦敦分行在控制环境方面，存在公司架构职责不清，合规资源投入不足問题;在控制活动方面，客户身份识别措施存在缺陷，交易监测系统无法满足反洗钱风险管理要求问题;在信息与沟通方面，德商银行伦敦分行的客户关系部、前台业务部门与合规部沟通协调不畅，协作不足;在监督方面，高管对反洗钱工作监督不足，对过期例外列表不清楚。德商银行伦敦分行的违规体现了严重系统性内部控制缺陷。
（二）违规原因：被业务绑架，形成道德风险
反洗钱控制措施作为一种合规成本，在监管机构难以观测到商业银行的行动时，则商业银行容易出现不遵守反洗钱措施的道德风险。
1.违规原因
德商银行伦敦分行合规部作为德商银行伦敦分行的第二道防线部门，原本没有业务发展压力，应发挥对第一道业务部门的业务合规把关作用。在资源配置上，原本也是充足的。但2012年正好碰上客户身份复评并加上2013年的集团的合规整改，打破了这种平衡。按照“舞弊三要素”理论，舞弊事件发生概率大大增加。
在压力方面，由于客户身份复评为原有客户资料的复审，一般来说已经与德商银行存在过相关交易，监管机构虽有要求，但如果因为资料到期就直接不允许交易，要等德商银行伦敦分行合规部复审之后再可以交易，在市场机会稍纵即逝的形势下，很容易导致交易机会消失，甚至丢掉市场份额，德商银行伦敦分行合规部在客户资料复评方面实质上面临被业务发展绑架的压力。
在借口方面，如果原有业务关系的客户在其资料逾期时，都被发现有金融犯罪风险，则德商银行伦敦分行还可以向业务部门解释，但现实当中，很大概率是大部分资料逾期，曾经存在交易关系的客户都不会有金融犯罪风险。如果不增加合规部人手的情况下，又缺乏相关人员监督，德商合规部就会利用该难以观测到的机会进行违规。事实上，德商银行伦敦分行禁用系统功能，目的就是绕过控制，为自身获取难以观测到的违规机会。至于后续的客户关系部存在“滥用过期例外列表”，也与德商银行伦敦分行合规部利益一致，出现联合舞弊不足为奇。
反洗钱交易监测系统由合规部自身使用，其他部门难以观察到相关的系统信息，在合规资源投入不足情形下，德商银行伦敦分行合规部正好以为利用该机会减轻自身的工作量，因此在添加相应监控名单、对交易监测规则或者阈值没有进行定期审查就不难理解了。
2.舞弊分析
客户关系部，设立“过期例外列表”，出现舞弊事件具有必然性。在压力方面，客户关系部存在促进业务交易，维护客户关系全周期管理的职责，业务发展是客户关系部的压力事项，天生就具备维护现有客户关系的要求。在借口方面，2016年需要对2013年整改补充的客户文件定期复审，客户身份复评的工作量大大增加，但客户关系部人员工资及数量没有变动，履职存在困难。在机会方面，德商银行伦敦分行合规部明知这些客户的尽职调查资料已经过期，也没有对客户关系部使用的延长程序进行合规审查，存在可以随便延续客户身份识别资料逾期的客户，获取继续交易资格的机会。三要素齐备，客户关系部必然以期例外列表为由，绕过内部控制。
3.部门协调不畅分析
德商银行伦敦分行客户关系部、前台部门与合规部三个部门在利益上存在冲突，这种利益冲突容易导致管理上的推诿。前台部门作为盈利部门，客户关系部作为德商银行伦敦分行公司市场部下属机构，都具有促进交易要求，在客户资料复评方面存在维护现有客户关系的倾向。为了降低工作量，有减少信息的获取的自利倾向，如上文提到的德商总行企业银行部不执行第二次核实资料要求或者对现有资料持有肯定态度等。
合规部作为第二道防线部门，肯定要进行合规把关。在德商银行伦敦分行高管反洗钱职责是不清晰的情形下，各方都是内部机构，由于信息不对称，本部门的过错难以观测，推诿也符合本部门的利益最大化倾向，于是进一步恶化客户身份资料复评的积压，最终损害整个德商银行伦敦分行。
四、反洗钱内控机制建设启示
中国与英国的金融环境不同，但德商银行伦敦分行处罚案体现的信息不对称情形下反洗钱内部控制失效的合规教训值得警惕。本案反映出的内部控制问题也可以借鉴到我国反洗钱内部控制建设上。
（一）强化高管的反洗钱管理责任，建立健全反洗钱工作协调机制
我国《反洗钱法》的第15条要求金融机构负责人对内部控制有效实施负责，人民银行2019年开始实施的《法人金融机构洗钱风险管理指引》（以下简称《指引》）则进一步要求金融机构应当明确牵头负责洗钱风险管理的高管，进一步细化高管责任。我国金融机构一般会明确负责牵头反洗钱高管，但如何建立反洗钱协调机制，保障负责反洗钱高管能够独立开展工作，避免影响有效履职的利益冲突应是需要关注的重点。从德商违规处罚案来看，我国商业银行应吸取德商银行伦敦分行教训，健全相应的反洗钱委员会，在公司治理层面优化委员会机制，以保障负责反洗钱高管能够独立开展工作。 （二）强化反洗钱合规资源的投入力度，做到与业务相匹配
人民银行《指引》强调反洗钱资源配置应当与业务发展相匹配，配备充足洗钱风险管理人员，但如何评估充足，是理论与实践一大难题。从德商银行伦敦分行的教训来看，德商银行伦敦分行合规部刚开始是3人，2012年工作量并不多，但突然的项目任务如2013年的整改要求，导致大量的客户身份识别复评积压。因此，从评估洗钱风险管理人员是否充足的角度，必须要建立主动、前瞻的反洗钱合规资源配置计划，做到动态重检优化，确保反洗钱合规能力与业务发展匹配。
（三）加强反洗钱制度建设，强化政策与程序执行监督
我国商业银行普遍重视制度建设，但在具体的执行上很容易出现绕过相关控制的现象。从德商银行伦敦分行违规案来看，德商银行伦敦分行分行合规部及客户关系部在反洗钱客户复评上违规能够获取成功，关键是利用了客户身份复评逾期的信息不对称，采用禁用系统功能或例外事项列表来掩盖客户身份复评逾期事实，获得了舞弊机会。德商银行内审部对德商银行合规部的监督，导致禁用系统功能被停止。因此，对商业银行必须强调开展定期或不定期反洗钱工作检查，完善内部审计评价程序，推动反洗钱政策与程序的有效落实。
（四）建立反洗钱交易监测系统定期审查机制，做好更新及优化
按照人民银行的《指引》，反洗钱信息系统应当能够对洗钱风险进行识别、评估、监测和报告，并根据洗钱风险管理需要进行优化升级。但如何监督反洗钱系统的功能是否满足反洗钱风险管理需要，并做到及时优化升级，是管理的难题。从信息不对称角度来说，反洗钱部门作为系统使用者，应该是最清楚系统的功能状况的，但反洗钱部门如类似德商银行伦敦分行合规部，不对反洗钱交易监测系统进行属地参数设置，则违规行为难以发现。英国FCA根据德商银行伦敦分行没有对反洗钱系统适用的交易监测规则或阈值进行定期审查，导致无法根据最新的监管要求进行交易监测，被认定违规。因此，我国在监管实践中，必须要求商业银行建立对反洗钱系统交易监测规则或者阈值进行定期审查的机制，做到及时优化升级。
（责任编辑：张恩娟）
参考文献：
[1]英国金融监管局FCA.Finial Notice to Commerzbank AG[EB/OL].[2020-06-17].https：//www.fca.org.uk/publication/final-notices/commerzbank-ag-2020.pdf.
[2]英国金融监管局FCA.FC link PDF Financial Crime： a guide for firms[EB/OL].[2018-12-12].https：//www.handbook.fca.org.uk/handbook/FC/link/PDF.html.
[3]英国反洗钱指导小组.The Joint Money Laundering Steering Group：Prevention of money laundering/ combating terrorist financing（2020revised version）[EB/OL].[2020-08-18].https：//jmlsg.org.uk/guidance/current-guidance/.
[4]惠平，周瑋，童频.商业银行合规管理[M].北京：中国金融出版社，2018.
收稿日期：2020-10-28
作者简介：苏如飞（1984-），男，广西合浦人，现供职于中国工商银行股份有限公司。